DM***:MGRE voer ipsec ***,cisco私有

特点:简单的星型拓扑配置,提供虚拟网状连通性

           分支站点支持动态IP地址,中心站点必须有固定ip

            新增加分支站点,无需更改中心站点的配置

            分支站点的流量,不通过中心站点

            感觉只能用ipsec profile进行配置,

如果想分支站点间自动建立虚拟临时隧道,而需在hub和spoke之间都配置MGRE隧道协议,如果SPOKE配置的是GRE协议,则流量会通过

hub中转。

DM*** --动态多点ipsec ***,依靠以下四大组成协议

wKioL1P5-hiz5g1hAACQ5GJAgzc214.jpg

以上图为例,配置了基本的IP地址后,


1.动态多点GRE,(MGRE)典型的NBMA网络

hub(config)#int tunnel 0

hub(config-if)#ip add 172.16.1.2 255.255.255.0   #配置隧道IP#

hub(config-if)#tunnel mode gre multipoint #修改隧道模式为多点GRE#

hub(config-if)#tunnel source fastEthernet 0/0 *指定隧道源接口*

hub(config-if)#tunnel key 12345 *配置隧道ID为12345,用于标识隧道接口*

2.下一跳解析协议(NHRP)

hub(config)#interface tunnel 0  ---进入隧道接口

hub(config-if)#ip nhrp network-id 10  --激活nhrp,所有站点的network-id建议配置相同的号

hub(config-if)#ip nhrp authentication cisco --可选,激活nhrp的认证

hub(config-if)#ip nhrp map multicast dynamic  --配置动态接收nhrp的组播映射

---------------------------------------------

R3(config)#interface tunnel 0

R3(config-if)#ip add 172.16.1.3 255.255.255.0

R3(config-if)#tunnel source fastEthernet 0/0  //如果是MGRE,接口不需要指定虚拟环回口了

R3(config-if)#tunnel mode gre multipoint  //这里spoke没有tunnel指定目标地址,如果指定了地址,spoke之间流量需从hub中转

R3(config-if)#tunnel key 12345

R3(config-if)#ip nhrp network-id 10

R3(config-if)#ip nhrp authentication cisco

R3(config-if)#ip nhrp map 172.16.1.2 12.1.1.2 --手动NHRP映射,映射中心站点隧道的虚拟IP到中心站点的公网IP,有了这个映射,分支站点才能访问中心站点,

R3(config-if)#ip nhrp map multicast 12.1.1.2  --MGRE是NBMA网络,分支站点要和中心站点建立动态路由协议的邻居关系,必须在每一个分支站点,映射组播到中心站点的公网IP,这样才能把分支站点的组播放到中心站点,并且可以看到分支站点间没有组播映射,所以分支站点间没有动态路由协议的邻居关系

R3(config-if)#ip nhrp nhs 172.16.1.2 --NHS就是NHRP服务器,这个配置定义了NHRP服务器地址为中心站点的隧道接口的虚拟IP地址,

---------------------------

使用show ip nhrp可查看状态,如果在确认配置正确的情况下,少或者没有映射关系,请先把各点的tunnel口down掉,然后从中心站点开始,一个一个的启用接口即可,

3.动态路由协议(这里就不作配置过程)

这里需要注意的是,如果使用的是EIGRP路由协议,则必须在中心站点的tunnel口下,

使用no ip split-horizon eigrp xx 关闭对应eigrp进程下的eigrp水平分割

使用no ip next-hop-self eigrp xx 优先路由条目,使分支间的路由下一跳不会全部指向中心站点

如果使用的ospf路由协议,则必须要在中心站点的tunnel接口下

使用ip ospf network broadcast ,否则,建立ospf邻居会有问题

使用ip ospf pr xx,保证中心站点为DR路由器,否则路由学习会有问题,同时也解决了各站点的路由下一跳问题

OSPF下无法实现spoke-and-spoke tunnel的通信方式

4.IPSec技术

hub(config)#crypto isakmp enable

hub(config)#crypto isakmp policy 10

hub(config-isakmp)#authentication pre-share   ---只配置了验证方式,其它的使用默认配置

hub(config-isakmp)#exit

hub(config)#crypto isakmp key 0 cisco address 0.0.0.0 0.0.0.0  --配置预共享密钥,这里目标只能配置为全0,因为一般分支站点的公网ip是动态获取的

hub(config)#crypto ipsec transform-set cisco esp-des esp-md5-hmac  --设置转换集

hub(cfg-crypto-trans)#mode transport  --DN***即为MGRE ove ipsec ***,所以建议使用传输模式

hub(cfg-crypto-trans)#exit

hub(config)#crypto ipsec profile new***   --定义配置文件

hub(ipsec-profile)#set transform-set cisco

hub(config)#interface tunnel 0    --将配置文件应用在tunnel口上

hub(config-if)#tunnel protection ipsec profile new***

hub(config-if)#ip mtu 1400  --调整MTU,防止ipsec分片

----------------------------------------------------------------------

site1(config)#crypto isakmp enable

site1(config)#crypto isakmp policy 10

site1(config-isakmp)#authentication pre-share

site1(config-isakmp)#exit

site1(config)#crypto isakmp key 0 cisco address 0.0.0.0 0.0.0.0 --因为分支站点间也是直接建立隧道,所以这里的地址也是8个0

site1(config)#crypto ipsec transform-set cisco esp-des esp-md5-hmac

site1(cfg-crypto-trans)#mode transport

site1(cfg-crypto-trans)#exit

site1(config)#crypto ipsec profile new***

site1(ipsec-profile)#set transform-set cisco

site1(ipsec-profile)#exit

site1(config)#interface tunnel 0

site1(config-if)#tunnel protection ipsec profile new***

site1(config-if)#ip mtu 1400